Cuántos ataques repele su servidor mientras duerme

Una máquina bajo nuestra vigilancia repelió casi tres mil intentos de inicio de sesión en dos días y medio. Ni un pico puntual, ni un incidente, ni «nos han hackeado»: un martes cualquiera para un servidor de cara a internet. Y lo más incómodo no son esos tres mil intentos, sino lo fácil que habría sido no darse cuenta de nada. La monitorización lo registraba todo, sin excepción, pero el canal de alertas estaba mudo: un ajuste mal configurado llevaba días tragándose cada aviso en silencio. Lo encontramos durante una revisión rutinaria de nuestro propio parque de servidores: arreglamos una línea y vimos lo que llevaba todo ese tiempo ocurriendo tranquilamente.

Le contamos esta historia con cifras reales de nuestro propio hardware, anonimizadas pero sin adornos. Porque la mejor explicación de seguridad no es un cuento de terror de manual, sino lo que está pasando ahora mismo en su propio servidor, mientras no piensa en ello.

Qué es un ataque de fuerza bruta por RDP y a quién afecta

RDP es el protocolo de escritorio remoto: ese botón de «conectarme al servidor desde casa» que usan millones de personas. Por defecto escucha en el puerto 3389, un número que cualquier bot de la red se sabe de memoria. El método es de una simplicidad aburrida: la automatización rastrea internet día y noche en busca de un 3389 abierto y, en cuanto lo encuentra, prueba miles de combinaciones de usuario y contraseña hasta acertar o hasta que la frenan.

Lo importante: esto no es un ataque dirigido contra usted en particular. Es ruido de fondo que cae por igual sobre todos: el banco, la panadería y el servidor de pruebas que alguien levantó «cinco minutos» hace tres años y nunca apagó. Si alguna vez usted, o un proveedor suyo, expuso el 3389 «para entrar cómodamente desde fuera», enhorabuena: ya está en el mismo saco. La única pregunta es si la puerta está cerrada con llave, y si se enteraría de que alguien ha entrado.

Ya le hablamos una vez de los lectores invisibles de su web: bots de IA inofensivos que hojean sus páginas en silencio. Estos visitantes son de la misma familia: igual de invisibles, solo que con la intención contraria.

Qué dicen las cifras reales

Empecemos por el firewall. En algo más de cien días de funcionamiento ininterrumpido, bloqueó 218.211 paquetes que golpeaban el puerto RDP en un servidor: unos dos mil al día. En otro de nuestros servidores, 61.436, otros seiscientos diarios. Esto ni siquiera son intentos de inicio de sesión: son fuentes agresivas que el firewall cortó de raíz con una regla simple: cinco intentos desde una misma dirección en un minuto, y la dirección va directa al bloqueo.

Lo más interesante empieza justo más allá de esa barrera. Un ataque distribuido esquiva a propósito el límite «por dirección»: muchas fuentes, cada una golpeando un poco, para que el bloqueo nunca salte. El registro de una máquina, en esos mismos 2,5 días, mostró 2.893 intentos de inicio de sesión fallidos que llegaron hasta la ventana de autenticación. De ellos, 2.890, un 99,9% exacto, apuntaban a una única cuenta: la administrator integrada. Las fuentes eran 34, repartidas por todo el mundo: Corea del Sur, Alemania, EE. UU. y varios rangos asiáticos y latinoamericanos, un botnet global de manual al que le da igual quién sea usted. Y no aflojó: se mantuvo en cientos y miles de intentos al día: 571, luego 1.242, luego 1.080.

Ninguna tuvo éxito, porque en esa máquina la cuenta administrator está desactivada. Pero aquí está el dato por el que merece la pena haber leído hasta aquí. Otro servidor, parecido, solo que su RDP escucha en un puerto no estándar en lugar del 3389 desnudo, registró apenas 634 bloqueos en el mismo periodo. Frente a 218.000. El mismo internet, los mismos botnets, un solo parámetro de configuración, y aproximadamente trescientas veces menos ruido en la puerta.

«Todo en verde»: la mentira más cara de la monitorización

Ahora la parte más honesta. Todas estas máquinas mostraban «todo correcto» sin parar, y ahí es justo donde se esconde la trampa principal. Estos son los tres tropiezos con los que nos topamos en nuestro propio parque durante esa misma revisión.

Uno. Una copia de seguridad nocturna informó de éxito cinco noches seguidas —código de salida cero, visto verde—, cuando en realidad fallaba cada vez. La causa es típica: se ejecutaba a través de un lanzador intermedio en modo «dispara y olvida», y el planificador veía el código de salida del lanzador (siempre cero), no el del script real. La lección: hay que monitorizar el resultado —la fecha del archivo marcador, el contenido del log—, no el estado de la tarea. «Completado con éxito» no significa nada si no comprueba qué ha hecho de verdad.

Dos, la misma historia con la que empezamos. Un sistema de seguridad registró fielmente eventos críticos durante varios días seguidos, y durante esos mismos días fue incapaz de avisar a nadie: el canal de alertas no estaba configurado. Y todas las tareas brillaban en verde. Una monitorización muda es peor que ninguna: regala una falsa sensación de calma. Por eso lo primero que hay que probar después de configurar las alertas es que de verdad llegan.

Tres. Otra máquina acumuló en silencio más de mil procesos: cientos de zombis de una tarea que dejaba dos procesos sin cerrar en cada ejecución y nunca los limpiaba. En cincuenta días agotó la memoria virtual, y las copias de seguridad empezaron a fallar por «memoria insuficiente», otra vez bajo el alegre estado verde del planificador. El estado de los procesos y los recursos también es monitorización, no solo un código de salida.

Sí, estos son nuestros propios tropiezos, y los enseñamos no por orgullo, sino porque si nosotros —gente que se dedica a esto todos los días— caímos en ellos, cualquiera que todavía confíe en un estado verde caerá también.

Cómo protegerse: lo que de verdad funciona

La buena noticia: aquí no hace falta nada exótico ni caro. Este es el stack que usamos nosotros mismos y montamos para nuestros clientes.

Lo que viene ahora es más técnico. Si tiene quien se ocupe de su IT, muéstrele este bloque.

1. Un puerto no estándar en lugar del 3389 desnudo. La diferencia entre 218.000 y 634 es la prueba directa de que funciona. No es la única defensa, pero sí el primer filtro más barato, y elimina la inmensa mayoría del ruido automatizado.
2. Rate-limit a nivel de firewall, la misma regla de «cinco intentos por minuto desde una dirección → bloqueo». Atrapa las fuentes agresivas sueltas antes de que lleguen siquiera al inicio de sesión.
3. Desactive las cuentas integradas administrator y guest. Si el 99,9% de los ataques apuntan a administrator, una cuenta administrator desactivada deja sin sentido todo ese ataque de fuerza bruta.
4. Una cuenta de reserva para accesos de emergencia, con un nombre no estándar y una contraseña robusta en un gestor de contraseñas, para que, al desactivar la cuenta por defecto, no se quede usted mismo fuera.
5. Monitorización de eventos de seguridad con un canal de alertas activo: en nuestro caso, el registro de eventos convertido en un breve resumen y enviado a un mensajero. Siempre con una comprobación de que la alerta llega de verdad: ver el tropiezo número dos.
6. Gestione a través de una red mesh privada (Tailscale y similares), y elimine el RDP público por completo si no necesita acceso desde fuera. La defensa más fiable de un puerto abierto es un puerto cerrado.

La puerta a la que llaman cada noche

Tres mil intentos en dos días y medio no es porque su servidor le interese a nadie en particular. Es porque en internet nunca hay tanto silencio, para nadie: la automatización prueba cada puerta cada noche, y la suya también. Toda la diferencia está entre quien tiene la puerta cerrada con llave y se entera del intento, y quien tiene «todo en verde» simplemente porque no había nadie a quien avisar.

Este ruido de fondo lo mostramos en directo y anonimizado: la vista de seguridad de nuestra propia web, con el proveedor y el país de cada intento, sin direcciones completas. Es el mismo enfoque que hay detrás de «El Centinela», una vigilancia constante que detecta lo importante y calla lo pequeño. Y si tiene curiosidad por saber cuánto ruido hay en su propia noche, y si ese estado verde le está mintiendo, una auditoría gratuita se lo muestra: con calma y con cifras.